Firewall și sisteme sigure

1.Introducere

Firewall este un instrument care controlează accesul între rețele.Un firewall are ca rol filtrarea informațiilor ce sunt transmise prin porțile sale,politica de filtrare depinde în funcție de producator.Este o poartă sigură intre internet și reteaua personală, de fapt securizează un sistem nesigur de unul sigur.Un firewall monitorizează traficul de rețea sau blochează un anumit trafic ce este considerat nesigur.Nivelul de nesiguranța dintre internet și reteaua sigură este de obicei crescut prin folosirea mai multor softuri firewall.Zidul de protecție între inernet și rețeaua proprie are ca rol realizarea unei legături sigure și rejectarea traficului care nu se incadrează in standardul impus de program.

Firewall acționează ca un server intermediar in controlul conexiunilor HTTP și SMTP.Acesta are nevoie de o politică de acces și un protocol precum SOCKS pentru a accesa internetul sau intranetul.

2.Rolul firewall-ului

Se impun restricții pentru pachetele care intră sau ies din rețeaua privată.Toată cantitatea de informație trebuie trecută filtrată și doar cele care trec de acest filtru sunt transmise.Principala caracteristica a firewall-ului este imunitatrea la spargere.

Programul iși creează un punct limită (choke point),intre cele 2 componente ale sistemului,după stabilirea acestui punct sistemul începe scanarea și verificarea traficului de intrare sau de ieșire.

Filtrarea se poate face dupa adresa de IP,destinație sau numărul portului TCP.Criteriile după care se face controlul traficului depind de nivelul rețea sau nivelul transport cum ar fi:IP sau TCP.Un număr crescator de produse firewall controlează accesul la niveul aplicatiei,folosind date de identificare ale utilizatorului.Programele pentru rețele ATM pot controla accesul pe baza nivelului legatură de date.

Acesta asigură și întarește modul de logare,acest control al modului de logare,administratorul rețelei poate monitoriza accesul la internet și din partea internetului.Un control eficient al logarilor este un instrument foarte eficient in potecția rețelei.

Programul poate bloca conexiuni de tip TELNET sau RLOGIN care vor sa acceseze intranetul sau de tip SMTP sau FTP care nu sunt autorizare pentru a realiza modificari sau trafic.

Poate fi folosit pentru implementarea VPN(Virtual Private Network) și ca bază pentru IP sec.

Se poate realiza limitarea expunerii la internet prin ascunderea informațiilor și parametrilor rețelei.

Sunt și aspecte negative ale firewall-ului:nu poate proteja rețeaua de un angajat ce comunică cu un atacator și îi permite accesul la rețea,nu poate proteja împotriva transferurilor de fișiere și documente infectate deoarece îi este imposibil să scaneze toate fișierele.Acesta fiind un program de protecție va minimiza infectarea cu viruși.

3.Firewall-terminologie

Pentru a reusi configurarea unui soft firewall trebuie sa cunosti terminologia specifică de bază.

3.1 Bastion host

Servește ca o platformă pentru unul dintre cele 3 tipuri de firewall:filtrare de pachete,poarta la nivel circuit și poartă la nivel aplicație.

Trebuie să verifice traficul de intrare și de ieșire și sa aplice masurile de securitate.Trebuie să fie pregătit pentru pentru atacuri din surse externe sau interne,sa aiba o structură hardware și software de complexitate cât mai mare pentru a reuși să îi ofere unui hacker oportunitați de reușită cât mai mici.Sunt securizate cu alarme pentru a preveni atacuri.

Utilitatea poate fi împarțită în 3 categorii:

Single-homed bastion host:are o singură interfață de rețea,folosit pentru poartă la nivel aplicație.Routerul extern este configurat să trimită traficul de intrare la bastion host și clienții interni sunt redirecționați să trimită datele de ieșire la host.Acesta va testa datele in funcție politica de securitate.

Dual-homed bastion host:are cel puțin 2 interfețe de rețea,sunt folosite pentru filtrare de pachete,poartă la nivel aplicatie de rețea si poarta la nivel circuit.Avantajul constă in creerea unei bariere complete intre

rețeaua internă și cea externă,aceasta duce la filtrarea traficului în totalitate.este prevenită o cadere a sistemului de securitate când un hacker încercă sa acceseze rețeaua.

Multi-homed bastion host-când politica de securitate cere ca traficul de intrare si ieșire să fie fie trimise printr-un server proxy,un nou server trebuie să fie creat.Pentru noul server trebuie implementate mecanisme stricte de securitate cum ar fi autentificarea.Când sunt folosite ca host intern trebuie să aiba rol de poarta pentru aplicații, care primesc trafic de intrare de la host extern.Furnizează un nivel suplimentar de securitate in cazul în care componentele firewall externe sunt compromise.Componentele interne ale rețelei sunt programate pentru a comunica numai cu host intern.

Tri-homed firewall-conectează 3 sectoare de rețea cu adrese diferite.Acest sistem poate oferi avantaje asuprea firewall-urilor cu 2 interfețe.

3.2 Serverul Proxy

Serverele proxy sunt folosite pentru a comunica cu servere externe in numele clientilor interni,acestea sunt setate in funcție de dorința și nevoile clientului.Termenul de server proxy se referă la o aplicație la nivel rețea,deși aplicatia la nivel cicuit este tot o aplicație de tip server proxy.Porțile pot fi cunfigurate sa suporte nivelul aplicatii la conexiunile de intrare și nivelul circuit la conexiunile de ieșire.Aplicatia proxy trimite pachete doar cand se realizează o conexiune folosind un protocol cunoscut.După încheierea conexiunii firewallul care foloseste aplicatii proxy va rejecta pachete,chiar daca acestea se incadrează in condițiile impuse.Diferența între aplicațiile și circuitele proxy este aceea că cele din urmă sunt statice si vor creea o conexiune dacă regula DUT/SUT o va permite.Fiecare proxy este setat sa pemită accesul doar la un server specific.Modulul server proxy este un pachet de programe destul de mic,specializat pe securitatea retelei,este mai ușor sa verifici module de gen pentru gasirea de probleme.Fiecare proxy este independent de celelalte din bastion host.Dacă este întalnită o problema în operarea unui proxy sau daca este intalnita o viitoare potențială problemă,este usor sa inlocuiesti piesa defecta fără sa încurci operațiile aplicațiilor proxy.Dacă se dorește implementarea unui nou serviciu instalarea unui nou proxy este foarte ușoară.În general un proxy nu permite accesul la informații în afara de cele de configurare inițială,această masura împiedică un intrus să instaleze Troieni sau alte fișiere periculoase in bastion host.

3.3 SOCKS

Versiunea a 4-a a protocolului SOCKS asigură aplicații pentru firewall nesigure,pentru servere TCP care includ HTTP,TELNET si FTP. Noul protocol extinde versiunea a 4-a a lui SOCKS prin includerea UDP,permite asigurarea de cadre pentru schemele de autentificare si extinde schemele de autentificare pana la includerea servicii Ipv6.Implementarea protocolului SOCKS implica de obicei refecerea legăturilor pentru aplicațiile TCP astfel încât sa folosească rutinele de împachetare din libraria SOCKS.Când un client TCP incearcă să stabilească o conexiune către o destinație care este disponibilă doar printr-un firewall,trebuie deschisă o conexiunde TCP catre un port adecvat la serverul SOCKS,serviciul SOCKS este de obicei întâlnit la portul 1080.SOCKS defineste modul în care trebuie facută autentificarea conexiunii,dar nu oferă o soluție pentru criptarea traficului de date.

3.4 Punctul limită

Principalul aspect al unui firewall este acela de a creea puncte limită.Un punct limită este puctul la care un serviciu de internet public poate accesa o retea internă.Cel mai cuprinzător și extins sistem de monitorizare trebuie configurat în funcție de aceste puncte limită.Traficul trece prin firewall si de aceea administratorii ce se ocupă cu securitatea trebuie sa creeze puncte limită pentru a limita accesul extern catre rețea.După configurarea punctelor limită,firewallul poate verifica traficul de intrare și de ieșire.Dacă punctul limită este instalat la firewall,activitatea unui potențial hacker va trece prin el.Dacă sunt instalate instrumente de logare evoluate,toată activitatea hackerului va fi monitorizată si reținută.

3.5 Zona demilitarizată(DMZ)

Termenul DMZ a fost preluat din razboiul din Korea și inseamna o fâșie de pamânt menținută forțat fără adversari.În terminologia firewall aceasta reprezintă zona dintre rețeaua internă si rețeua publică.Rețeua DMZ este folosită drept un buffer adițional pentru separarea rețelei publice de cea privată.O poartă în rețeaua DMZ este asistată de o poartă internă.Filtrele interne sunt folosite pentru a proteja porta de atacuri.

Multe softuri firewall suportă tri-homing,permițand folosirea rețelei DMZ.Este posibil pentru un firewall sa permită acomodarea cu mai mult de 3 interfețe,fiecare atașată de un sector de rețea diferit.

3.6 Alarme și logare

Logarea este de obicei implementată in orice program wireless.Filtrarea de pachete în mod normal nu permite logarea implicită pentru a nu diminua performanțele.Filtrarea de pachete cât și porțile la nivel circuit folosesc la logare numai informațiile de bază.Instalarea unui punct limită va determina trecea unui eventual hacker prin el.Dacă se intampla așa,modurile de logare complexe vor reuși să inregistreze toate activitațile hackerului dar și a utilizatorului.Utilizatorul poate spune exact ce face hackerul,îi poate vedea fiecare mișcare.Multe firewalluri permit userului sa preconfigureze raspunsurile catre aplicațiile neacceptate.Firewallul trebuie sa alerteze serverul din multe motive,cele mai comune 2 acțiuni sunt:Spargerea conexiunii TCP/IP sau deconectarea alarmelor.

3.7 VPN

Unele softuri firewall furnizează servicii VPN.Serviciile VPN sunt adecvate pentru orice organizație care un acces extern sigur catre internet.VPN sunt protocoale care impachetează informația în pachetele de rețea.Datele transmise cu VPN sunt de obicei criptate deoarece un adversar le poate intercepta când trec prin rețeaua publică.VPN include informația în pachete IP,criptatea și autentificarea sunt foarte importante pentru implementarea VPN.Fără procedura de autentificare un hacker poate avea acces la rețea.Integritatea mesajului este necesară deoarece pachetele pot fi afectate de trecerea prin rețea.Fără criptare informația poate deveni publică.Există mai multe metode pentru implementarea serviciului VPN.Windown NT sau variantele mai noi suportă o conexiune standard RSA prin VPN.Firewallurile specializate sau routerele pot fi configurate pentru a stabili o conexiune VPN prin internet.Noile protocoale cum ar fi IPsec trebuie standardizate pentru o soluție VPN.Mai multe protocoale VPN există dar cele mai populate sunt PPTP(point to point tunnelling protocol) și IPsec.

4.Tipuri de firewall

Firewallul este clasificat în 3 tipologii:filtrare de pachete,poartă la nivel circuit,poarta la nivel aplicație.

4.1 Filtrare de pachete

Filtrarea de pachete este unul din diferitele tipuri de wireless care se ocupa cu procesarea traficului rețelei prin filtrarea de baza pachet cu

pachet.Principala funcție a filtrarii de pachete este aceea a filtrării traficului de la baza IP,este necesar un router pentrua face conexiunea intre rețeaua internă și internet.Filtrul de pachete impune o listă de reguli ce sunt citite secvențial linie cu linie.regulile de filtrare pot fi aplicate in funcție de IP-ul sursei și destinției,în funcție de adresele de rețea sau în funcție de porturile TCP sau UDP.Filtrarea de pachete furnizează 2 masuri:aruncare sau continuare.Dacă se alege procesul de continuare pachetul isi continuă ruta normală dacă se indeplinesc toate regulile.Acțiunea de aruncare va bloca toate pachetele dacă nu se respectă condițiile impuse.Filtrarea pachetelor deși nu oferă posibilitatea de filtrare a erorilor,constituie prima metodă de filtrare.Filtrul de pachete poate resticționa traficul de intrare catre o adresă,această masură poate preveni un atacul unui hacker asupra rețelei interne.Principala slabiciune a filtrului de pachete este aceea că nu poate face diferența intre pachetele bune și rele.Chiar dacă un pachet trece de toate restricțiile și este trimis catre destinație,fltrul nu poate spune ce tip de informație contine pachetul bună sau daunătoare.Filtrul de pachete aplică un set de reguli pentru fiecare pachet IP și dupa trimite sau aruncă pachetul.

4.1.1 Filtrare TELNET

TELNET este un terminal care permite unui user sa se logeze la un calculator conectat la internet.Acesta stabilește o conexiune TCP și transferă informația produsă de tastatura userului direct la computerul de comandă ca și cum ar fi fost tastatura atașata la serverul de comandă.TELNET transferă informația de ieșire catre ecranul userului.Utilizatorul softwareului TCP are posibilitatea de a specifica serverul de comandă altfel decât specificarea domeniului sau adresei IP.TELNET poate fi utilizat petru a administra un server UNIX.Windows NT nu permite serviciul TELNET în modul de bază.TELNET trimite numele și parolele userilor in text necriptat,de aceea hackerii experimentați pot sparge o sesiune TELNET.Aceasta trebuie folosită doar atunci când se pot verifica toți userii și clienții rețelei,nu este recomandată folosirea în rețele publice.Traficul ce trece prin TELNET trebuie filtrat de firewall.

4.1.2 Filtrare FTP

Conexiunile FTP se pot explica printr-un set de reguli:

Regula 1 permite oricărui server cu adresa 192.168.10.0 sa inițieze o sesiune TCP către orice destinație cu adresa IP din portul 21.

Regula 2 blochează orice pachet provenit de la o adresă din portul 20 și transmis catr e o adresă 192.168.10.0 pe un port mai mic decat 1024.

Regula 3 permite oricarei adrese de comandă care are portul sursă 20și care contactează un server cu adresa 192.168.10.0 indiferent de port.

După ce conexiunea a fost realizată,Flagul ACK(ACK=1) al segmentului TCP este setat sa recunoască segmente din partea cealaltă.Dacă un pachet încalcă regula 2 va fi aruncat și regula 3 nu va mai fi implementată.

Sunt folosite 2 conexiuni TCP:una de control pentru a seta transferul de fișiere și una de date pentru a realiza transferul.Conexiunea de date folosește un port diferit pentru transfer.Majoritatea serverelor folosesc porturi cu valori mici,dar apelurile de ieșire tind să folosescă porturi cu valori mari,de obicei sub 1024.

FTP este primul protocol folosit pentru transfer de date folosind internetul.La fel ca protocoalele TCP/IP,FTP nu a fost realizat sa ofere un nivel mare de securitate.Acesta comunică cu serverul pe 2 porturi TCP 20 și 21.Fiecare server FTP are un canal de comandă unde se rezolvă cererile de date și un canal de date unde sunt livrate datele cerute.

FTP lucrează în 2 moduri:activ și pasiv.În modul activ serverul FTP primește comenzile la portul 21 și face schimb de date cu clientul.Când clientul dorește să contacteze un server FTP în modul activ și se dorește trasferul de date,acesta va primi un port liber între 1024 și 65535,serverul va fi informat și se așteapta conexiunea pe portul dorit.Serverul deschide o conexiune între portul 20 și cel primit de client,după această acțiune va incepe transferul efectiv de date.În modul pasiv canalul de comandă este tot portul 21,dar portul 20 nu mai este utilizat.Când clientul va solicita modul pasiv serverul va lua un port nefolosit intre 1024 si 65535.Se va deschide o conexiune catre acel port de la server,după ce conexiunea este stabilită fluxul de date va fi trimis.Utilizarea in paralel a canalului de date și comandă determină folosirea modului pasiv de catre browserele moderne.

4.1.3 Filtrare SMTP

Trimiterea și transmisia mesajelor email intră în responsabilitatea MTA(Mail Transport Agent).Protocolul care sta în spatele acestui servicu este SMTP și extensia sa ESMTP.Emailurile sunt schimbate intre serverele de mail folosind protocolul SMTP.Acest protocol permite transferul unui mail de la un server la altul și oferă o modalitate simplă de transfer intre baze separate.Un server gazdă pentru SMTP acceptă mailuri și verifică destinația IP pentru a decide dacă trimite mailul pe plan local sau îl trimite mai departe.SMTP este un sistem de stocare sau de expediere,astfel de sisteme sunt folositoare aplicațiilor firewall.Portul de recepție pentru SMTP este 25,iar cel de expediere este ales aleator sub 1023.Multe mailuri nu sunt adresate cu adrese IP și serverul SMTP folosește DNS(Directory and Naming Service) pentru a determina adresa IP corespunzătoare.Dacă aceelași sistem se ocupă de distribuția externă și internă,acesta poate cade pradă hackerilor aceștia reușind să trimită un mail infectat in exterior.Aceștia pot sa trimita un mail și către alt server controlat de ei,această acțiune avand ca principal efect întârzierea mailurilor.Este de dorit evitarea acestor situații în care primirea mailurilor externe este controlată de un sistem și cele interne sunt controlate cu DNS.Cea mai eficientă metodă este aceea în care fiecare tip de transfer are serverul său.

Un firewall cu filtrare de pachete folosește un set de reguli pentru a determina ce trafic trebuie trimis și ce trebuie blocat.Regulile filtrarii de pachete sunt folosite după un algoritm pas cu pas.

Filtrarea de pachete este definită ca un proces pentru controlul accesului prin examinarea pachetelor bazată pe conținut.(header)

Serverele proxy permit accesul la internet pentru un singur server sau un grup mai mic de servere.Acesta evaluează cererea de la client și decide ce să treacă și ce să fie aruncat.Dacă cererea este aprobată serverul proxy va trimite catre serverul de bază o atenționare și va incepe transferul de date.Conceptul de proxy este foarte important pentru aplicația firewall deoarece inlocuiește adresa IP cu un alt tip de adresă.

Serverele proxy sunt clasificate în 2 categorii de bază:

Poartă la nivel circuit Poartă la nivel aplicație

Ambele creează o barieră intre rețeaua internă și cea externă,aceasta permite controlul intergral al traficului ce trece prin ea.

4.2 Poartă la nivel circuit

Poarta la nivel circuit reprezintă un server proxy care definește care trafic va fi trimis mai departe.Circuitul proxy trimite mai departe pachete ce au un numar predefinit al portului,dacă nu este nici o restricție impusă.Poarta la nivel circuit operează după modelul OSI.Poarta se comportă ca un convertor de adresă IP intre internet și sistemul intern.Principalul avantaj al serverelor proxy este acela că permite NAT(Network Address Translation),acesta ascunde adresa IP internă fața de internet.NAT permite securitatea administratorilor cu o flexibilitate foarte mare în elaborarea schemelor de adrese interne.Poarta la nivel circuit și filtrarea de pachete sunt bazate pe aceleași principii.Când sistemul intern trimite o serie de pachete,acestea apar la poartă unde sunt supuse unei verificari privind compatibilitatea cu setul de reguli impuse.Dacă pachetele nu încalcă regulile,poarta le va distribui.

4.3 Poartă la nivel aplicație

Poarta la nivel aplicație reprezintă un server proxy,ce este pornit sau oprit în funcție de dorința clientului.Aplicația permite schimbul de pachete doar cand conexiunea este realizată cu un protocol cunoscut.Când legatura este închisă,firewallul folosind legatura proxy va rejecta pachetele chiar dacă acestea se încadrează in conditiile impuse.

Aplicația analizează mesajul întreg,nu pe pachete,când il trimite sau primește.Când este inițializată o conexiune TCP/IP,aplicația va primi cererea si verifică dacă se respectă setul de reguli impuse.Aplicația va initia o conexiune TCP/IP cu serverul de comandă.Serverul va genera un raspuns TCP/IP bazat pe cererea de la serverul proxy,raspunsul va fi trimis serverului unde este verificat in functie de filtrele serverului proxy.Dacă raspunsul serverului de comandă este permis,acesta va fi trimis in zona internă.

Este sigură diferența in modul de funcționare a protocoalelor.Protocolul TCP poate fi folosit usor într-un server proxy deoarece are o conexiune bazată pe protocol,în timp ce protocolul UDP impune tratarea individuală a fiecarui pachet ca un mesaj deoarece UDP este fără conexiune.Serverul trebuie sa

analizeze fiecare pachet si să îl filtreze separat ceea ce introduce o întarziere.Programele ICMP sunt aproape imposibil de folosit cu serverul proxy deoarece mesajele nu sunt compatibile cu poarta la nivel de aplicație.Porțile de aplicație sunt folosite ca instrumente intermediare cand se routează traficul SMTP de la și catre o sursă internă.

Principalul avantaj al unui server proxy este acela ca pemite furnizarea NAT.

5.Designul firewallului

Această secțiune se ocupa cu metodele de implementare a strategiei firewall.Primul pas in proiectarea unui firewall sigur este prevenirea vulnerabilitații la pericolele furnizate de internet.Pentru a furniza un nivel de securitate crescut cele 3 tipuri de firewall sunt:single homed bastion host,dual home bastion host și firewall ecanat pe subretea.Primele 2 optiuni sunt pentru creerea unui firewal ecranat iar a 3 a opțiune conține un filtru de pachete suplimentar pentru a crește nivelul de securitate. Se dorește obtinerea unui nivel de securitate cât mai ridicat cu o investiție cât mai mică.Când este realizată configurația unui nou firewall componenta bastion host trebuie să fie cât mai simplă din punct de vedere software dar și hardware,acesta permite accesul public.Când userii încearcă sa se conecteze la internet primul instrument întalnit va fi bastion host,acesta este mai sigur cu cât numarul de aplicații ce îl folosesc este mai mic.Unitatea bastion host trebuie sa verifice tot traficul de intrare și ieșire,aplicand regulile impuse în polița de securitate.Aceasta este prevazută cu alarme și conturi de logare pentru a preveni atacurile.Cănd se creează o unitate bastion host trebuie avut în vedere rolul său va ajuta in modul de configurare al sistemului.